Как использовать Microsoft.Graph с авторизацией клиента и не получить 401 - PullRequest
Новая
       36

Как использовать Microsoft.Graph с авторизацией клиента и не получить 401

0 голосов
/ 07 ноября 2018

У нас есть

  • создан Azure Active Directory
  • создал новое приложение
  • зарегистрировал новое приложение в Azure AD
  • учитывая ВСЕ разрешения на API
  • предоставлены права администратора

Теперь мы авторизируемся с этим приложением

Получаем авторизацию: 

GET /1111111-aaaa-4fd3-bf32-9bfc460f67b1/oauth2/v2.0/authorize HTTP/1.1
Host: login.microsoftonline.com
cache-control: no-cache
Postman-Token: 111111-aaaa-4696-9828-9110670706c5

Получаем токен: 

POST /11111111-aaaa-4fd3-bf32-9bfc460f67b1/oauth2/v2.0/token HTTP/1.1
Host: login.microsoftonline.com
Content-Type: application/x-www-form-urlencoded
cache-control: no-cache
Postman-Token: 11111111-aaaa-47e4-b2fb-6b94cd02312a
client_id=11111111-aaaa-482e-ab17-86e4c2c6240c
scope=https%3A%2F%2Fgraph.microsoft.com%2F.default
client_secret=aaaaaaaaaaaDJk6jBJ%2FuBRJM6AFxyFIDMKn867hmvU%3D
grant_type=client_credentials

Токен, проанализированный с помощью jwt.io:

{
  "aud": "https://graph.microsoft.com",
  "iss": "https://sts.windows.net/1111111-ccc6-4fd3-bf32-9bfc460f67b1/",
  "iat": 1541603660,
  "nbf": 1541603660,
  "exp": 1541607560,
  "aio": "42RgYFB+/Gyh8uF3yl+uKU7km//kFwA=",
  "app_displayname": "ToDoListService",
  "appid": "1111111-4e99-482e-ab17-86e4c2c6240c",
  "appidacr": "1",
  "idp": "https://sts.windows.net/1111111-ccc6-4fd3-bf32-9bfc460f67b1/",
  "oid": "1111111-98fb-4a47-af7f-d3800dde2f7b",
  "roles": [
    "Chat.UpdatePolicyViolation.All",
    "Calls.JoinGroupCall.All",
    "EduRoster.Read.All",
    "OnlineMeetings.Read.All",
    "Mail.ReadWrite",
    "OnlineMeetings.ReadWrite.All",
    "Device.ReadWrite.All",
    "User.ReadWrite.All",
    "Domain.ReadWrite.All",
    "Application.ReadWrite.OwnedBy",
    "SecurityEvents.Read.All",
    "Calendars.Read",
    "EduAssignments.ReadWrite.All",
    "People.Read.All",
    "Application.ReadWrite.All",
    "Calls.InitiateGroupCall.All",
    "Group.Read.All",
    "Directory.ReadWrite.All",
    "EduAssignments.ReadWriteBasic.All",
    "MailboxSettings.Read",
    "EduAdministration.Read.All",
    "Calls.JoinGroupCallAsGuest.All",
    "Sites.Read.All",
    "Sites.ReadWrite.All",
    "Contacts.ReadWrite",
    "Group.ReadWrite.All",
    "Sites.Manage.All",
    "SecurityEvents.ReadWrite.All",
    "Notes.Read.All",
    "User.Invite.All",
    "EduRoster.ReadWrite.All",
    "Files.ReadWrite.All",
    "Directory.Read.All",
    "User.Read.All",
    "EduAssignments.ReadBasic.All",
    "EduRoster.ReadBasic.All",
    "Files.Read.All",
    "Mail.Read",
    "Chat.Read.All",
    "ChannelMessage.Read.All",
    "EduAssignments.Read.All",
    "Calendars.ReadWrite",
    "identityriskyuser.read.all",
    "EduAdministration.ReadWrite.All",
    "Mail.Send",
    "ChannelMessage.UpdatePolicyViolation.All",
    "MailboxSettings.ReadWrite",
    "Contacts.Read",
    "IdentityRiskEvent.Read.All",
    "AuditLog.Read.All",
    "Member.Read.Hidden",
    "Calls.AccessMedia.All",
    "Sites.FullControl.All",
    "Reports.Read.All",
    "Calls.Initiate.All",
    "Notes.ReadWrite.All"
  ],
  "sub": "1111111-98fb-4a47-af7f-d3800dde2f7b",
  "tid": "1111111-ccc6-4fd3-bf32-9bfc460f67b1",
  "uti": "hxPwbjRRm0y6SI8hxuckAA",
  "ver": "1.0",
  "xms_tcdt": 1541414851
}

Вы можете видеть, что мы получаем все необходимые разрешения.

И эта петиция работает: 

https://graph.microsoft.com/v1.0/Users/

или 

https://graph.microsoft.com/beta/Users/

но не этот: 

https://graph.microsoft.com/beta/Users/<user-id>/Calendars

ни этот: 

https://graph.microsoft.com/beta/users/<user-id>/sendMail

они оба возвращают 401: 

{
  "error": {
    "code": "UnknownError",
    "message": "",
    "innerError": {
      "request-id": "019ddc83-6528-4f19-95cc-8b99ea53a046",
      "date": "2018-11-07T16:03:55"
    }
  }
}

Я думаю, что мы получили все необходимые разрешения, настройки ... и т.д ... так почему же это не работает? : '(

[UPDATE]

подробный звонок для получения календарей 

GET /v1.0/Users/<user-id>/Calendars HTTP/1.1
cache-control: no-cache
Postman-Token: xxxxxxxxxxxxxxxxxxxxxxx
Authorization: Bearer xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
User-Agent: PostmanRuntime/7.3.0
Accept: */*
Host: graph.microsoft.com
accept-encoding: gzip, deflate
Connection: close
* * Ответ тысяча сорок-девять 
HTTP/1.1 401 Unauthorized
Cache-Control: private
Transfer-Encoding: chunked
Content-Type: application/json
request-id: 11111111-aaaa-aaaa-a115-e09bb6f09917
client-request-id: 11111111-aaaa-aaaa-a115-e09bb6f09917
x-ms-ags-diagnostic: {"ServerInfo":{"DataCenter":"North Europe","Slice":"SliceC","Ring":"3","ScaleUnit":"001","Host":"AGSFE_IN_34","ADSiteName":"NEU"}}
Duration: 377.0084
Strict-Transport-Security: max-age=31536000
Date: Thu, 08 Nov 2018 09:16:03 GMT
Connection: close

c6
{
  "error": {
    "code": "UnknownError",
    "message": "",
    "innerError": {
      "request-id": "2bb9a7c1-f8a3-4c1f-a115-e09bb6f09917",
      "date": "2018-11-08T09:16:04"
    }
  }
}
0

1 Ответ

0 голосов
/ 07 ноября 2018

позвольте мне прежде всего заметить, что вы опубликовали секрет клиента на общедоступном форуме :) И тот, который имеет роскошное разрешение для вашего арендатора. Я надеюсь, что вы уже изменили секрет клиента.

Но вернемся к вашему вопросу - мне придется спросить немного подробнее, чтобы лучше понять ваши реальные результаты:

  1. Согласно вашей распечатке JWT вы получаете токен V1, но используете клиентские учетные данные поток (поле «ver» установлено в 1.0). Документация Microsoft здесь Получить доступ без пользователя прямо заявляет, что в этом сценарии вы должны использовать токен V2 для доступа к Microsoft Graph. Итак, первый вопрос: вы создали приложение Azure, используя портал V2: https://apps.dev.microsoft.com/? Если нет, то это может быть проблемой.
  2. Более распространенная проблема при ручном тестировании. Удалось ли убедиться, что токен не истек с момента получения его от конечной точки / token до момента тестирования вызова API?
  3. Если ничего из вышеперечисленного - пожалуйста, опубликуйте ваш запрос в конечной точке https://graph.microsoft.com/beta/Users//Calendars подробно, дьявол может быть в деталях
...